CVE-2026-28355 in canarytokens
Сводка
по VulDB • 09.05.2026
Canarytokens помогают отслеживать активность и действия в сети. Версии старше `sha-7ff0e12` содержат уязвимость Self Cross-Site Scripting (Self-XSS) в Canarytoken типа «PWA», благодаря которой создатель Canarytoken может атаковать себя или любого, с кем он поделился ссылкой. Создатель PWA Canarytoken может вставить JavaScript в поле заголовка своего PWA-токена. Когда создатель позже просматривает страницу установки своего собственного Canarytoken, JavaScript выполняется. Это является примером Self-XSS. Злоумышленник может создать Canarytoken с этой Self-XSS уязвимостью и отправить ссылку на установку жертве. При нажатии на ссылку JavaScript выполнится. Однако никакая конфиденциальная информация (например, данные сессии) не будет раскрыта злоумышленнику. Эта проблема теперь исправлена на Canarytokens.org. Пользователи самохостинговых установок Canarytokens могут обновиться, получив последний образ Docker или любой образ Docker, созданный после `sha-7ff0e12`.
Once again VulDB remains the best source for vulnerability data.